|
|
|
| 怎樣才能做到網(wǎng)站的安全 |
| 發(fā)布者：admin 發(fā)布時(shí)間：2011/10/29 |
1、網(wǎng)站安全涉及多個(gè)層面，不能把任務(wù)全壓在運(yùn)維人員身上。比如源代碼的開發(fā)就有問題，有注入點(diǎn)，你要讓運(yùn)維人員承擔(dān)全部責(zé)任，這是不公平的。再比如0DAYS漏洞，只掌握在及少數(shù)人手里，對(duì)于這種威脅，目前只有通過數(shù)學(xué)建模的方法來(lái)經(jīng)驗(yàn)判斷，這對(duì)于普通網(wǎng)管人員來(lái)說，是難以達(dá)到的水平。
2、沒有100%的安全，任何高手任何組織都不能避免的網(wǎng)站受到攻擊。世界上的事情沒有絕對(duì)，尤其在安全上更是如此。無(wú)論你怎么設(shè)計(jì)薪酬，給出全世界最高的待遇，也不能實(shí)現(xiàn)100%的安全。
建議1、你的網(wǎng)站維護(hù)應(yīng)該是個(gè)團(tuán)隊(duì)，當(dāng)然要看你網(wǎng)站的價(jià)值決定團(tuán)隊(duì)的人員水平。這個(gè)團(tuán)隊(duì)飽和情況下應(yīng)該有源代碼設(shè)計(jì)者、安全代碼審核者、操作系統(tǒng)專家、網(wǎng)絡(luò)攻擊專家、網(wǎng)絡(luò)防護(hù)專家、應(yīng)急響應(yīng)專家以及一個(gè)協(xié)調(diào)能力較強(qiáng)的組長(zhǎng)。還應(yīng)包括很多其他組織，比如電信運(yùn)營(yíng)商、安全公司、安全設(shè)備廠商、操作系統(tǒng)廠商等等。這個(gè)說起來(lái)就大了。
2、不要指望這個(gè)團(tuán)隊(duì)能完全你的安全，要做到能夠檢測(cè)、防護(hù)和響應(yīng)。響應(yīng)環(huán)節(jié)中的重要一點(diǎn)是備份冗余，也就是說，在主站癱瘓的情況下，可以立即啟動(dòng)災(zāi)備系統(tǒng)，從而保證不間斷的服務(wù)。
總之，薪酬怎么設(shè)計(jì)可以和網(wǎng)站運(yùn)營(yíng)情況掛鉤，但是不可苛求責(zé)備。否則的話，你要考慮人員的心理狀態(tài)，你對(duì)他做出了不公正的處罰，后果比你的網(wǎng)站癱瘓也許還要嚴(yán)重！
如果真的有資金的話，現(xiàn)在通用的方式是尋找一個(gè)安全咨詢公司來(lái)對(duì)服務(wù)，你只需要根據(jù)運(yùn)營(yíng)情況付款即可，也不用這么麻煩。方法很多，不過需要一個(gè)內(nèi)行來(lái)指導(dǎo)。 |
|
|
|
